(57)【要約】【課題】新たなパッチやウイルスパターンが公開された直後は、パッチやウイルスパターンが適用されていない。そのため、セキュリティ判定を行うと全資産がセキュリティ上危険であると判断されると同時に、全資産に対してセキュリティ上危険である場合のアクションを実行してしまう。【解決手段】パッチやウイルスパターン情報を提供するベンダから、公開日や重要度を取得し、クライアントセキュリティ管理システムに蓄積する。公開日や重要度、普段のセキュリティ対策状況を示す評価点を用いて、アクションのレベル分けを行う。アクションのレベルに従った公開日からの猶予期間があるアクションを行うことにより、差別化したアクションを実行できる。また、検疫システムに適用するだけではなく、教育用のネットワークを設置し、普段、セキュリティ対策が疎かになる資産に対しては、教育を行うことが可能になる。【選択図】図１
2007122408.tif 000002
【特許請求の範囲】
【請求項１】
クライアントのセキュリティレベルを判定する際、公になっている脆弱性に対応する脆弱性修正情報が適用されているかを、脆弱性公開日時から一定の猶予期間を考慮した警告や注意といったフォローのアクションを行うことにより、脆弱性修正情報の公開日時から、個々のクライアントに適用されるまでのタイムラグを考慮したクライアントセキュリティシステム。
【請求項２】
請求項１で示した猶予期間内において、クライアント資産の評価点に基づいて、クライアント利用者や上長に対して、段階的に実行するフォローのアクションを差別化することを特徴としたクライアントセキュリティ管理システム。
【請求項３】
請求項２のクライアント資産の評価点に基づいて、クライアント利用者に対して、セキュリティ意識向上を行うことのできる検疫システムでのクライアントセキュリティ管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアントのセキュリティ状況を管理する方法及びそのシステムに関するものである。
【背景技術】
【０００２】
従来のクライアントセキュリティシステムでは、クライアント資産の状態（セキュリティ対策状況）と公開済みの脆弱性対策情報を照らし合わせて、脆弱性に対応する修正情報が適用されているかを基に、そのクライアント資産のセキュリティレベルを判定、評価していた。また、資産情報を蓄積しているデータベースを介して、クライアント資産からその使用者、管理者、所属組織を特定し、セキュリティレベルが脆弱と判定されたクライアント資産の使用者、管理者、所属組織に対してメール通知などの適切なフォローアクションを実行していた。
【０００３】
上記従来システムは、既存の脆弱性について、個々のクライアント資産の脆弱性対策状況を改善することは可能であるが、日々新規に公開される最新の脆弱性には対応できない。新規に公開される脆弱性情報は、個々のクライアント資産に適用されるまで、一定のタイムラグが発生するため、公開直後に既存の脆弱性と同等のポリシーでセキュリティレベル判定を行うと、全てのクライアントが脆弱であり、警告を促がす必要があるという判断され、使用者や管理者への過剰なフォローとなってしまう。
【０００４】
【特許文献１】特開2005-216253号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明が解決しようとする目的は、新規に公開される脆弱性情報に対する、個々のクライアント資産の使用者、管理者のセキュリティ意識レベルに合わせた適切なアクションを実行することでプロアクティブなクライアントセキュリティ管理を提供することを最も主要な特徴とする。
【課題を解決するための手段】
【０００６】
新規に公開された脆弱性情報を、公開後十分に期間の経った既存の脆弱性情報と異なる警告や注意といったアクションを行う。上記のアクションでは、脆弱性を適用するまでに一定の猶予期間を持たせる。猶予期間は、脆弱性の公開日や緊急度から算出する。脆弱性の対策状況に応じてクライアント資産に対するセキュリティレベルの点数付けを行う。上記点数を資産データベースより対応する使用者のセキュリティ意識レベルへマッピングし、使用者のセキュリティ意識レベルの点数化を図る。使用者、管理者のセキュリティ意識レベルの点数に応じた適切なアクション・フィードバックを実行することで、使用者、管理者のセキュリティ意識レベルを改善していく。
【発明の効果】
【０００７】
資産に対するセキュリティ意識レベルとして点数付けした値を基に、下記のように適切なアクションやフィードバックを実行し、セキュリティ意識レベルの改善を図ることができる。また、上記点数の推移を集計しグラフ化することで、クライアントセキュリティシステムのセキュリティレベルの指標とすることができる。
・セキュリティ対策を行うまでの猶予期間および、期間中のフォロー（アクション）度合いの差別化
・検疫ネットワークへの接続許可レベルの差別化
・点数が低い人のセキュリティ教育への自動登録
【発明を実施するための最良の形態】
【０００８】
以下、本発明を実施するための最良の形態を図面に基づいて詳細に説明する。
【０００９】
図１は、本発明における一実施例であるクライアントセキュリティ管理システムの構成を示すものである。本実施例では、パッチ情報やウイルスパターン情報提供ベンダ１０１に対して、クライアントセキュリティ管理システム１０２がパッチ情報やウイルスパターン情報の取得を行う。クライアントセキュリティ管理システム１０２では、パッチ情報やウイルスパターン情報の解析を行い、各種の情報を保持するデータベース１０３に格納する。
【００１０】
クライアント１０４は、クライアントセキュリティ管理システム１０２で判定ポリシー１０７に基づいてセキュリティ判定が行われ、セキュリティ判定の結果に応じてアクションポリシー１０８に従ってアクションが実行される。セキュリティ判定の結果が安全であると判断された場合は業務ネットワーク１０５に接続させられる。逆に、脆弱であると判断された場合は隔離ネットワークや教育ネットワーク１０６に接続させられる。
【００１１】
図２は、図１のクライアントセキュリティ管理システム１０２の詳細な構成を記述したものである。セキュリティ情報解析部２０１では、パッチ情報やウイルスパターン情報提供ベンダ１０１から取得したパッチ情報やウイルスパターン情報を解析し、パッチ情報やウイルスパターン情報データベース１０３に格納する。セキュリティ評価点計算部２０２では、資産情報をもとにセキュリティ評価に対する点数を計算し、点数情報データベース１０３に格納する。アクションレベル設定部２０３では、点数情報データベースとパッチ情報やウイルスパターン情報データベース１０３に格納されている情報をもとにアクションのレベルを設定し、資産情報データベース１０３に資産の付加情報として格納する。セキュリティレベル判定部２０４では、資産情報をもとに判定ポリシー１０７を用いてセキュリティレベルを判定し、資産情報データベース１０３に資産の付加情報として格納する。アクション実行部２０５では、資産情報データベース１０３の付加情報とアクションポリシー１０８をもとにメール通知やメッセージ通知、ネットワーク接続制限といったアクションを実行する。
【００１２】
図３は、図２で示したセキュリティ情報解析部２０１について詳細化したものである。パッチ情報やウイルスパターン情報提供ベンダ１０１から取得したパッチ情報やウイルスパターン情報の公開日と重要度をパッチ情報やウイルスパターン情報データベース１０３に格納する。格納する際、重要度に応じて対策期限を設定し、あわせて格納（３０１）する。
【００１３】
図４は、セキュリティ情報解析部２０１についてデータベースに格納する方法を記述したものである。セキュリティ情報解析部２０１は、パッチ情報やウイルスパターン情報を公開している場所にアクセス（４０１）し、公開日と重要度を取得（４０２）する。セキュリティ情報解析部２０１では、取得した重要度の判定（４０６）を行う。予め定義されている重要度に対応した対策期限の日数を設定（４０３）する。重要度のレベル数だけ、情報システムで対策期限の日数を定めておく（４０７）。図４のフローチャートは２つのレベルのみ記載している。対策期限の日数と公開日の加算（４０４）を行い、対策期限を算出する。その後、取得した公開日と重要度、対策期限をデータベースに格納する。
【００１４】
図５と図６は、現状のクライアントセキュリティ管理システムで用いられている機能であり、クライアントの資産情報を収集して、クライアントセキュリティ管理システムで蓄積している。このクライアントの資産情報と判定ポリシーを照らし合わせセキュリティレベル判定部２０４では、セキュリティ判定を実施する。セキュリティ判定の結果は、クライアントのセキュリティ情報の付加情報として、資産情報データベース１０３に格納されている。セキュリティ評価点計算部２０２では、セキュリティレベル判定部２０４で判定された、各種判定（パッチ適用判定、ウイルス情報判定、不正ソフトウェア判定、必須ソフトウェア判定）のレベル（危険、注意、警告、安全）を用いて計算される。評価点の結果は、データベースに格納される。本発明では、新たに評価点の履歴（６０１）を設定された件数保持する。
【００１５】
図７は、アクションレベル設定部２０３について詳細に記載したものである。点数情報データベース１０３に格納されている評価点情報とパッチ情報やウイルスパターン情報データベース１０３をもとに、対象の資産のアクションレベルを決定（７０１）する。さらに、パッチやウイルスパターンの重要度に応じて、アクションレベルを変更する。これにより、普段のセキュリティ対策状況に応じてアクションの差別化を行うことが可能になる。
【００１６】
図８は、公開日からの経過日数に伴うアクションの推移の例を示したものである。本例では、アクションレベルを３段階とし、「A」がアクションレベルの最も高いものとする。また、対策期限の日数を１０日とする。対策期限が１０日のパッチやウイルスパターンで５日間対策が行われない場合、アクションレベル「A」が設定された利用者へのアクションは、ネットワーク接続制限されるが、アクションレベル「C」に設定された利用者へのアクションは、利用者へ警告メールが送信されるだけになる（８０１）。これにより段階的に実行するフォローのアクションを差別化することが可能になる。
【００１７】
図９は、アクション設定部２０３についてアクションレベルを設定する方法を記述したものである。アクション設定部２０３は、点数情報データベース１０３に格納されている資産に対する評価点と評価点履歴、平均点を取得（９０１）する。普段のセキュリティ対策状況でアクションの差別化を行うため、評価点履歴から直近の数件のデータを取得し、平均点を算出（９０２）する。企業内で決められた点数より低い場合は、アクションレベルを１つ上げる（９０７）。再度、平均点を算出する評価点履歴の件数を増やし、平均点を算出（９０８）し、企業内で決められた点数より低い場合は、アクションレベルを１つ上げる（９０７）。この一連の流れを決められた回数行うか、企業内で決められた点数を上回るまで繰り返す（９０９）。さらに、平均点、直前の評価点でも企業内で決められた点数と比較（９０４、９０５）し、下回っている場合、アクションレベルを１つ上げる（９０７）。設定されたアクションレベルは、資産情報データベース１０３に格納（９０６）する。
【００１８】
図１０は、アクション実行部２０５について詳細に記載したものである。資産情報データベース１０３に格納されているアクションレベルと各検査項目のセキュリティレベル、パッチ情報やウイルスパターン情報データベース１０３に格納されている公開日と対策期限をもとに、あらかじめ作成してあるアクションポリシー１０８に照らし合わせて、アクションを実行する。図１０では、便宜上、パッチに関してのみ記載している。資産番号000003のセキュリティレベル「危険」とアクションレベル「B」を取得し、適用されているパッチ一覧から、「パッチA」のみが未適用であると判断された場合、パッチAの公開日と対策期限を取得する。現在の時刻が「2005/10/3」とした場合、実行するアクションは、セキュリティレベル「危険」、アクションレベル「B」、「公開日から対策期限まで半分経過」の「本人＋上長への警告メール」となる。
【００１９】
図１１は、アクション実行部２０５についてアクションを実行する方法を記述したものである。アクション実行部２０５は、アクション対象となる資産番号からアクションレベルとセキュリティレベル、未適用対策情報を取得（１１１）する。未適用対策の有無判定（１１８）を行い、未適用対策が存在する場合、パッチ情報やウイルスパターン情報データベース１０３から公開日と対策期限を取得（１１２）する。現在の日時を取得（１１３）し、公開日からの経過日数を算出（１１４）する。アクションポリシーを取得（１１５）し、取得したアクションレベル、セキュリティレベル、経過日数から対象となるアクションを決定（１１６）する。再度、未適用対策の有無判定（１１８）を行う。未適用対策すべてに対して、アクションが決定した後、最も厳しいアクションを選択（１１９）し、実行（１１７）する。
【００２０】
図１２は、本発明を検疫ネットワークシステムの場合について記載したものである。クライアントセキュリティ管理システム１０１で格納しているアクションレベル、パッチ情報やウイルスパターン情報の重要度を用いて、ネットワークの接続先を変更させる。対象の資産情報のアクションレベルが「A」（対策を普段より怠っている資産）１２４に対しては、ネットワーク接続時に無条件で教育用のネットワーク１２１に接続させ、セキュリティ意識の向上を促す。教育終了後、検疫ネットワーク１２２に接続させ、セキュリティ対策を行わせる。アクションレベルが「A」以外でパッチ情報やウイルスパターン情報の重要度が「A」（緊急度の高いもの）１２５に対しては、検疫ネットワーク１２２に接続させ、セキュリティ対策を行わせる。セキュリティ対策が完了した資産に対しては、通常のネットワーク１２３に回復させる。アクションレベルが「A」以外でパッチ情報やウイルスパターン情報の重要度が「A」以外の場合は、アクションポリシー１０８に従い、猶予期間を考慮し、差別化したアクションを実行する。
【００２１】
図１３は、検疫ネットワークシステムの場合について猶予期間を考慮し、差別化したアクションを実行する方法を記述したものである。図１１のアクション対象となる資産番号からアクションレベルと対象となる検査項目のセキュリティレベルを取得（１１１）した後、アクションレベルの判定（１３１）を行う。アクションレベルが最も高い資産、つまり、普段のセキュリティ対策を怠っている資産に対しては、教育用のネットワークに接続（１３２）させる。教育用のネットワークでは、教育用のデータを配信、あるいは教育用データが保管されているサーバにアクセス（１３３）し、教育を受講する。教育が完了したかを判定（１３４）し、教育が完了していない場合、再度、教育用データの配信等を行う。教育が完了している場合、検疫用のネットワークに接続（１３７）させる。検疫用ネットワークでは、全てのセキュリティ対策を行い（１３８）、セキュリティ対策の評価（１３８）を行う。セキュリティ対策が全て完了している場合、通常のネットワークに回復させる。セキュリティ対策が完了していない場合、再度、セキュリティ対策を促す。また、パッチ情報やウイルスパターン情報データベースから重要度を取得（１３５）した後、重要度判定（１３６）を行い、重要度が高い場合、無条件に検疫用のネットワークに接続させる。重要度が高くない場合、通常のアクション実行を行う。
【図面の簡単な説明】
【００２２】
【図１】全体構成を示した図である。
【図２】クライアントセキュリティ管理システムの詳細を示した図である。
【図３】セキュリティ情報解析部の詳細を示した図である。
【図４】セキュリティ情報解析部の処理方式を示した図である。
【図５】セキュリティレベル判定部の詳細を示した図である。
【図６】セキュリティ評価点計算部の詳細を示した図である。
【図７】アクションレベル設定部の詳細を示した図である。
【図８】アクションレベルによる差別化アクションを示した図である。
【図９】アクションレベル設定部の処理方式を示した図である。
【図１０】アクション実行部の詳細を示した図である。
【図１１】アクション実行部の処理方式を示した図である。
【図１２】検疫システムでの詳細を示した図である。
【図１３】検疫システムでの処理方式を示した図である。
【符号の説明】
【００２３】
１０１…パッチ情報やウイルスパターン情報提供ベンダ、１０２…クライアントセキュリティ管理システム、１０３…各種データベース、１０４…クライアント、１０５…業務ネットワーク、１０６…隔離ネットワーク、１０７…判定ポリシー、１０８…アクションポリシー、２０１…セキュリティ情報解析部、２０２…セキュリティ評価点計算部、２０３…アクションレベル設定部、２０４…セキュリティレベル判定部、２０５…アクション実行部、３０１…対策期限日数設定処理の流れ、４０１〜４０７…セキュリティ情報解析部フローチャート、６０１…評価点履歴、７０１…アクションレベル設定処理の流れ、８０１…５日経過時の各レベルのアクション、９０１〜９０９…アクションレベル設定部フローチャート、１１１〜１１７…アクション実行部フローチャート、１２１…検疫ネットワーク、１２２…教育ネットワーク、１２３…通常ネットワーク、１２４…教育ネットワークに接続する場合のアクションレベルと重要度、１２５…検疫ネットワークに接続する場合のアクションレベルと重要度、１２６…通常ネットワークに接続する場合のアクションレベルと重要度、１３１〜１３９…検疫システムでのフローチャート。
【図１】
2007122408.tif 000003
【図２】
2007122408.tif 000004
【図３】
2007122408.tif 000005
【図４】
2007122408.tif 000006
【図５】
2007122408.tif 000007
【図６】
2007122408.tif 000008
【図７】
2007122408.tif 000009
【図８】
2007122408.tif 000010
【図９】
2007122408.tif 000011
【図１０】
2007122408.tif 000012
【図１１】
2007122408.tif 000013
【図１２】
2007122408.tif 000014
【図１３】
2007122408.tif 000015